🔵 Toss Hacking

실제 해킹 과정을 보여주는 토스 화이트해커 팀

[공격 과정 정리]

1. 정보 수집 (공격 전 기초 작업)

정보 수집 단계에서는 직원 정보, 앱 구조, 웹 도메인, 서버 기술 등을 조사한다. 이 데이터들이 공격의 단서가 될 수 있는데, 서버가 어떤 소프트웨어를 쓰는지 알면 취약점을 찾기가 쉽기 때문이다. 공개된 자료나 소셜 미디어를 수집하는게 기본이고 이 단계에서 토스가 얼마나 노출되어 있는지 파악할 수 있다.

2. 앱 서비스 공격과 대응 확인

앱을 위변조해서 보안 시스템 (무결성 체크)을 우회 시도했다. 무결성 체크란 ? 앱이 변조됐는지 확인하는 기능 (해커가 코드를 바꾸면 앱이 실행을 막는 것) 쉽게 말하면 토스 앱을 직접 건드려 본 것이다. 결과 : 막혔음

3. 웹 서비스 공격과 대응 확인

앱이 안되니까 이번엔 웹 사이트로 공격 시도 (공식 홈페이지)를 했다. Nmap으로 포트 스캔 후 VPN으로 IP를 우회하여 (IP노출 방지) SQL 인젝션 공격 시도를 하였다. 결과 : 보안관제 시스템이 실시간 반응하여 공격을 차단

4. 물리적 정찰

사이버 공격이 막히자 토스 건물 주변을 돌아다니며 일상적인 부분에서 취약점을 찾아 보았다. 물리적 보안이 약하면 건물 내부 시스템을 건드릴 수 있다. CCTV 위치, 직원의 동선을 체크하는게 해커의 기본 스킬

5. 블랙마켓 정보구매

다크 웹 DB 판매자 탐색 (일반 검색으로 들어가지 못하는 공간이며 해커들이 정보를 거래하는 곳임)

6. 물리적 침투

출입 관련 인증 시스템을 착취해서 건물 안으로 들어갔다. ADB란 ? 안드로이드 디버그 브릿지로 안드로이드 기반 기기를 해킹할 때 쓰는 도구이다. 카드 복제나 직원 속이기로 들어가는게 가능하다는 것을 알게 되었고 물리적 보안 또한 중요하다는 것을 느꼈다.

7. 해킹 툴 제작

해킹 잭 (원격 조작 툴), 백단 (숨겨진 프로세스), 페이로드 (공격 코드) 를 제작해서 공격하였다.

8. 악성 메일 제작 (피싱)

직원들을 노리는 피싱 메일을 전송하였다.

9. APT 공격